美國總統拜登（Joe Biden）於今（2023）年10月30日簽署「安全、可靠、可信賴的人工智慧開發與使用行政命令」（下稱AI行政命令）[1]，不但是美國第一個直接涉及管理人工智慧（Artificial intelligence, AI）的行政命令，亦是美國向國際宣示領導AI未來發展的重要政策聲明。其揭示的管理方法與歐盟刻正協商的AI法（EU AI Act），固然在民主、人權、法治等基本價值大方向類似，但執行方式卻為兩種AI的治理典範。
一、美國AI行政命令與歐盟AI法草案之管理差異
當前各界檢視美國AI行政命令的重點多置於該命令第4條涉及確保AI技術安全可靠之要求，尤其是關於AI基礎模型的相關實踐。下述從AI系統與AI系統風險分類與界定，以及AI業者應負擔事項，淺析美、歐管理AI方式之差異。
（一） 美歐皆認為AI基礎模型應受規範
首先需明晰AI、AI系統、AI模型與基礎模型等概念。下表整理美國與歐盟（含修正意見）法規之相關定義。
在基礎規範對象上，美國與歐洲議會版的AI定義大致相若，皆採OECD給定AI定義[2]，以及也界定AI基礎模型並加以規範。美國AI行政命令方面的規範，主要有：
1. 制定技術標準與使用指引：
NIST應於270日內以現有標準（例如NIST AI 100-1）為基礎，制定合適指引指導「兩用基礎模型」的安全開發實務以及紅隊測試演練[3]；
2. 兩用基礎模型開發與收購活動通報：
指示商務部90日內制定規則，要求正在開發或意圖開發兩用基礎模型的企業就模型訓練、保護模型權重的實體和網路安全措施，及紅隊演練（red team test）測試結果等事項進行通報；收購、開發與擁有潛在大規模運算叢集（a potential large-scale computing cluster）的企業、個人或組織亦應向商務部通報；大規模運算叢集的定義則有兩種，符合其一即應通報。一種是使用大於10的26次方整數或浮點數運算能力訓練AI模型，或主要使用生物序列資料（biological sequence data）且使用大於10的23次方運算能力訓練AI模型；另一種是，位於單一資料中心的運算叢集（其中只要有任一組電腦放置於該資料中心即視為符合），若資料傳輸速率超過每秒100Gbits，且其訓練AI模型的運算能力之理論最大值達每秒10的20次方。此外，商務部長還獲得授權，依據需要檢視與更新AI行政命令規定的技術門檻[4]。
3. 規定IaaS業者應通報具資安風險交易及供應商資訊：
同樣於命令發布90日，商務部需制訂規定要求美國「基礎設施即服務」（Infrastructure as Services, IaaS）提供者通報與外國人之間的交易活動（包括交易對象身分與相關資訊），只要該交易涉及具有實施惡意網路活動潛在功能可用性的大規模AI模型（預設為大於10的26次方之運算能力，但商務部長得制定更具體技術條件）；以及IaaS提供者應掌握並通報其外國經銷商的服務使用者、最終用途和底層應用程式詳細資訊，且禁止供應商未提供資訊前不得提供服務[5]。
4. 評估模型安全：
商務部將對於合適的「兩用基礎模型」安全防護措施啟動公眾意見諮詢以及撰擬風險評估研究[6]。
至於歐盟AI法，除遵循執委會草案提出的風險分級，歐洲議會於修正意見新增第28a條，規範AI基礎模型提供者應負擔義務，包括：產品安全規定如記錄模型開發過程、合理使用資料集以訓練模型、確保基礎模型整個生命週期穩定、減少模型訓練能耗與資源使用、模型技術文件與使用說明書易於理解、建立品質管理制度、將模型登錄於該法創設AI系統資料庫；於10年內保存技術文件；要求使用基礎模型的供應商遵守透明義務、不損害歐盟基本權，與提供訓練資料符合智財權的說明[7]。針對AI基礎模型訓練所需的大規模運算能力，歐盟AI法的議會修正版亦有加以規範，稱為「大規模訓練運行」（large training runs），但未如AI行政命令直接明定技術門檻，而是授權新設的AI局（AI office）定期檢視與公布實際門檻[8]。
（二） 不同側重的風險分類
美國AI行政命令與歐盟AI法，皆將AI系統與AI基礎模型納入適用範圍，亦皆從基於風險取徑規範AI。但對於風險範圍與分類，則有不同劃分。
美國主要關注「兩用基礎模型」在國家安全、經濟安全、公衛安全等方面構成的嚴重風險（serious risk），並於「兩用基礎模型」定義之中例示三類國安風險情境：大幅降低外行人設計、合成、取得、使用化學、生物、放射性和核子（CBRN）物品的進入門檻；自動發現與利用網路漏洞以實施網路攻擊；以及在模型提供者設置技術安全保護措施以防止最終使用者利用漏洞情況下，仍得以利用欺騙與混淆手段，規避人類控制與監督[9]。
在歐盟方面，AI法草案依據AI使用形成風險嚴重程度，設計三個等級AI監管方式：禁止使用、高風險、低度或極小風險。首先AI法草案明示4種因違反歐盟基本價值而禁止使用的AI系統類型，包括：對人們或特定弱勢群體的認知操弄行為，實施社會評等（social scoring），以及即時與遠端生物辨識。其次，高風險AI系統意指對歐盟公民安全或基本權利產生負面影響的系統，包括歐盟既有產品安全法規規範的對象（如醫材）及AI法所新增8種類型（例如分辨與分類自然人生物特徵），從模型設計到退役皆須遵循相應規範。第三，低度或極小風險的AI系統則需遵循AI法要求的透明義務，確保使用者得以決定是否明瞭風險後繼續使用。另外，歐盟AI法草案將軍事、國防與國安AI系統排除適用[10]。
（三） AI行政命令基於既有法規防止AI系統產生的國安風險
歐盟AI法草案規範整個AI系統生命週期利害關係人，包括會員國主管機關、AI系統製造商至AI系統使用者，且訂定行政處罰，歐洲議會版本要求最重可處3千萬歐元或企業全年營業額的6%。相較歐盟，AI行政命令則為聯邦政府政策指導綱領，總統授權各聯邦機關於既有法規體系下，針對AI系統的開發與部署，擬定技術標準與使用指引，進而影響私人企業。
唯一具監管性質措施是受各界關注的企業通報規定。不過AI行政命令雖援引《國防生產法》（DPA）要求企業通報AI模型開發與收購活動，但未明定可能罰則。惟從《國防生產法》相關規定，以及AI行政命令也授權商務部長依《國際緊急經濟權力法》（International Emergency Economic Powers Act, IEEPA）執行該命令所需等條款觀察，可進一步探究AI行政命令蘊含的監管意涵。
《國防生產法》的立法目的是授權美國總統得為國防利益所需影響國內產業，從而要求聯邦政府運用權力形塑美國國內產業基礎，以便於需要時提供國防所需基本原物料和商品[11]。為恰當使用權力，需要從私人企業部門瞭解產業資訊，因此DPA允許美國總統得使用法規、傳票與任何方式取得必要或適當資訊，故意違反則可能受民事或刑事處罰[12]。這項產業調查權力經由總統行政命令授權給商務部及其所轄產業安全局（Bureau of Industry and Security）執行[13]。另外，DPA訂有「自願協議」，經私人企業同意簽署後為聯邦政府提供所需產品，且該協議為私人企業若係依據自願協議而有違反競爭法和契約法的行為，提供額外的法律辯護基礎[14]。AI行政命令宣布前，白宮已分別在7月和9月與若干主要AI企業簽署自我約束承諾，未來也將由商務部制定通報規定，目前普遍認為這類通報規定將是基於企業自願而加以簽署的形式。另外，美國總統援引《國防生產法》以促進特定產業發展以及授權聯邦機關若干管制權力，前不久亦有類似做法，即《美國晶片法》針對半導體產業補貼以及產業調查[15]，商務部亦曾考慮援引《國防生產法》規定強制要求半導體企業提供供應鏈資訊[16]。
除國防生產法外，AI行政命令亦有授權商務部長得依IEEPA制定規則。IEEPA授權美國總統得於宣布緊急狀態後管制經濟活動，亦為美國制裁制度的核心法源[17]。過去美國總統就曾援引IEEPA，進而管制或禁止若干民間交易行為，例如前總統川普「保護資通訊科技與服務供應鏈行政命令」[18]，授權商務部長審查美國人涉及與外國敵手（foreign adversaries）進行特定資通訊產品服務之交易，因此商務部依此訂定違反規定之民事和刑事處罰[19]。拜登規定IaaS業者需通報交易和供應商資訊，也在補充前總統川普「採取額外措施應對重大惡意網路活動的國家緊急狀態行政命令」[20]相關規定，法源亦為IEEPA。
二、未來影響與發展
（一）AI治理的「美國模式」：以鼓勵為主並聚焦有限範圍的AI風險
歐盟AI法草案採用的風險分級方法，以及針對不同風險的AI系統賦予不同程度義務，多做為民主國家對於AI監管模式的參考點。不過美國AI行政命令則提供另一種治理AI的途徑，主要不同之處在於，聚焦AI引發的特定風險議題，而於其他方面維持不干涉與鼓勵的做法。
AI行政命令將AI風險聚焦在國家安全、經濟安全與公衛安全，規範具有嚴重風險兩用基礎模型之開發與交易，以及相涉的大型資料中心。另外儘管援引DPA和IEEPA等國安法規，AI行政命令目前僅賦予企業應向聯邦政府通報資訊之義務，而未祭出裁罰。兩用基礎模型以外的AI管理措施，多為鼓勵性質，要求聯邦機關為AI技術制定標準，提供使用指引，依據主管業務導入和運用AI技術，以促進美國整體的AI產業發展。
另一個具突破性的特色之處為，美國行政命令為AI科技進展同時保留促其成長與施予監管之空間。AI行政命令針對AI模型運算能力制訂幾個技術門檻，同時涵蓋通用AI系統、特定目的AI系統，以及大型資料中心。這些技術指標遠超過現有模型運算能力的最大值，以10的26次方通報門檻而言，約為最新GPT-4模型的5倍運算量，按此依照專家認為，訓練AI模型所需運算能力約每10個月成長一倍[21]，AI行政命令為未來3至5年的AI技術保留監管空間。而從實際影響而言，受影響業者主要為「兩用基礎模型」開發者、大型資料中心擁有者，以及IaaS等雲端運算及服務業者，這些類別皆以美國企業為大宗。
（二）國際的AI監管競賽才剛要開始
美國行政命令在英國主辦「AI安全高峰會」（AI Safety Summit 2023）前兩日公布，也為副總統賀錦麗（Kamala Harris）會議致詞內容，表達美國版的AI治理觀點。由英國主導的「AI安全高峰會」，根據AI系統的通用性與潛在傷害程度，區分了四種AI系統，以及將監管重點置於通用性AI範疇下的前沿AI（Frontier AI）與具有危險傷害能力的特定AI（Narrow AI with dangerous capabilities），亦與「美國模式」近似符合。會後宣布的「布萊切利宣言」（Bletchley Declaration），指出AI形成的風險先天即具國際性質，尤需經由國際合作解決。該宣言簽署者囊括英國、美國、法國、德國、義大利、日本、歐盟、印度以及中國和其他國家共計28國及1個超國家組織，亦同時包含G7和G20成員，顯示對於AI管理政策已從「是否」朝向「如何」的問題意識，並已成國際經貿與科技政策合作重點[22]。
進一步言，美國近年來，從雙邊和區域層級皆已就AI管理方式，與盟友及貿易夥伴展開合作。美歐貿易科技委員會（U.S.-EU Trade and Technology Council）就AI定義、技術名詞、風險辨識等議題推動概念澄清與調和，並規劃今年底召開第5次部長會議，屆時預計就AI管理所需相關概念及名詞應有聲明或宣布。美國與歐盟也都共同參與「G7廣島AI進程」與「布萊切利宣言」等多邊文件的制定；雙方在基本價值與管理意識具有共同利益及合作基礎。
從各自國內監管措施制定進度而言，歐盟AI法雖進展至歐盟執委會、議會和部長理事會三方機構的協商階段，但歐洲議會提議內容，包括監管基礎模型及其他措施皆需說服其他兩方，根據媒體反應當前談判進度則稍有遲滯，若無法順利於今年談判完成而延宕至2024年，則又將適逢歐洲議會選舉，使歐盟AI法施行生效之日仍具相當的挑戰[23]。至於美國，在AI行政命令公布隔日，預算管理局已就落實命令提出政策指導草案，預計以一個月時間徵詢後就將發布予各聯邦機關，開始落實行政命令要求措施[24]。在主要經濟體中，美國先於歐盟一步，為AI管理措施立下國際標竿，定錨未來AI技術管制的可能範圍與方式。
[1] E.O. 14110 of Oct 30, 2023.
[2] OECD AI Principles overview, https://oecd.ai/en/ai-principles.
[3] E.O. 14110, Sec.4.1.
[4] E.O. 14110, Sec.4.2(a) and (b).
[5] E.O. 14110, Sec.4.2(c) and (d).
[6] E.O. 14110, Sec.4.6.
[7] AIA Trilogue Negotiations AI-Mandates Sheet, Item 379d, at 347-350, June 20 2023, available at https://artificialintelligenceact.eu/wp-content/uploads/2023/08/AI-Mandates-20-June-2023.pdf
[8] AIA Trilogue Negotiations AI-Mandates Sheet, Item 552b, at 483.
[9] E.O. 14110, Sec.3(k).
[10] AIA Trilogue negotiations AI-Mandates Sheet, Item 123, at 193-194, June 20 2023, available at https://artificialintelligenceact.eu/wp-content/uploads/2023/08/AI-Mandates-20-June-2023.pdf
[11] Congressional Research Service(CRS), The Defense Production Act of 1950: History, Authorities, and Considerations for Congress, Updated October 6, 2023, https://sgp.fas.org/crs/natsec/R43767.pdf.
[12] 50 U.S.C. §4555.
[13] CRS, supra note 11, at 15.
[14] 50 U.S.C. §4558.
[15] 15 U.S.C.§4654 and §4658.
[16] Breck Dumas, Biden considering Defense Production Act to address semiconductor chip shortage: report, September 23, 2021, Fox Bussiness, https://www.foxbusiness.com/politics/biden-considering-defense-production-act-to-address-semiconductor-chip-shortage-report (last visited November 10, 2023).
[17] CRS, The International Emergency Economic Powers Act: Origins, Evolution, and Use, Updated September 28, 2023, https://sgp.fas.org/crs/natsec/R43767.pdf .
[18] E.O.13873 of May 15, 2019.
[19] 15 C.F.R. 7
[20] E.O. 13984 of Jan 19, 2021.
[21] Paul Scharre, Vivek Chilukuri, Tim Fist, Bill Drexel, Josh Wallin, Hannah Kelley, Sam Howell, Michael Depp, and Caleb Withers, NOTEWORTHY: Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence, November 2 2023, https://www.cnas.org/press/noteworthy/noteworthy-executive-order-on-the-safe-secure-and-trustworthy-development-and-use-of-artificial-intelligence .
[22] GOV.UK, AI Safety Summit, The Bletchley Declaration by Countries Attending the AI Safety Summit, 1-2 November 2023, November 2023, https://www.gov.uk/government/publications/ai-safety-summit-2023-the-bletchley-declaration/the-bletchley-declaration-by-countries-attending-the-ai-safety-summit-1-2-november-2023 .
[23] Luca Bertuzzi, EU’s AI Act negotiations hit the brakes over foundation models, November 13 updated, https://www.euractiv.com/section/artificial-intelligence/news/eus-ai-act-negotiations-hit-the-brakes-over-foundation-models/ .
[24] White House, OMB Releases Implementation Guidance Following President Biden’s Executive Order on Artificial Intelligence, November 1, 2023, https://www.whitehouse.gov/omb/briefing-room/2023/11/01/omb-releases-implementation-guidance-following-president-bidens-executive-order-on-artificial-intelligence/ .